Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
Πώς να επεξεργάζεστε νόμιμα τα προσωπικά δεδομένα εργαζομένων βάσει του GDPR — νόμιμες βάσεις, διατήρηση, δικαιώματα, ασφάλεια και διεθνείς διαβιβάσεις.
Τα δεδομένα ανθρώπινου δυναμικού είναι δεδομένα υψηλού κινδύνου
Οι λειτουργίες ανθρώπινου δυναμικού χειρίζονται μερικά από τα πιο ευαίσθητα προσωπικά δεδομένα σε κάθε οργανισμό: στοιχεία επικοινωνίας, μισθό, τραπεζικές πληροφορίες, αρχεία απόδοσης, πληροφορίες υγείας και μερικές φορές ελέγχους ποινικού μητρώου. Σύμφωνα με τον Γενικό Κανονισμό για την Προστασία Δεδομένων (GDPR) και τις εθνικές του εφαρμογές — τον Ιρλανδικό Νόμο περί Προστασίας Δεδομένων 2018 και τον UK GDPR / Data Protection Act 2018 — τα δεδομένα αυτά πρέπει να υποβάλλονται σε επεξεργασία νόμιμα, δίκαια και με διαφάνεια.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
Επιλογή νόμιμης βάσης
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
Τα δεδομένα ειδικής κατηγορίας — συμπεριλαμβανομένων των πληροφοριών υγείας που χρησιμοποιούνται για άδεια ασθενείας ή για σκοπούς επαγγελματικής υγείας — χρειάζονται πρόσθετη προϋπόθεση βάσει του Article 9, που συχνά σχετίζεται με το εργατικό δίκαιο, την κοινωνική ασφάλιση και το δίκαιο κοινωνικής προστασίας. Χαρτογραφήστε κάθε τύπο επεξεργασίας ανθρώπινου δυναμικού στη βάση και την προϋπόθεσή του και καταγράψτε τη συλλογιστική.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
Διατήρηση, ελαχιστοποίηση και ασφάλεια
Μην διατηρείτε δεδομένα περισσότερο από όσο είναι αναγκαίο. Δημιουργήστε ένα πρόγραμμα διατήρησης που να αντικατοπτρίζει τόσο τις νομικές απαιτήσεις (αρχεία μισθοδοσίας και φορολογίας, αρχεία χρόνου εργασίας, τεκμηρίωση υγείας και ασφάλειας) όσο και την πραγματική επιχειρηματική ανάγκη, και διαγράψτε ή ανωνυμοποιήστε τα πέραν αυτών των περιόδων. Συλλέγετε μόνο ό,τι πραγματικά χρησιμοποιείτε — η ελαχιστοποίηση δεδομένων είναι αρχή, όχι απλή λεπτομέρεια.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
Διεθνείς διαβιβάσεις και προμηθευτές
Εάν το λογισμικό ανθρώπινου δυναμικού ή ο πάροχος μισθοδοσίας σας αποθηκεύει δεδομένα εκτός του Ευρωπαϊκού Οικονομικού Χώρου, πρέπει να διασφαλίσετε κατάλληλο μηχανισμό διαβίβασης — απόφαση επάρκειας, τυποποιημένες συμβατικές ρήτρες ή ισοδύναμες εγγυήσεις. Μετά το Brexit, οι διαβιβάσεις μεταξύ της ΕΕ και του Ηνωμένου Βασιλείου καλύπτονται από το καθεστώς επάρκειας του Ηνωμένου Βασιλείου, αλλά αυτό θα πρέπει να παρακολουθείται, καθώς υπόκειται σε επανεξέταση.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
